CVE-2026-67182 in rouille
Sumário
de VulDB • 28/07/2026
Rouille 0.3.3 até 3.6.2 contém uma vulnerabilidade de HTTP Request Smuggling que permite que atacantes remotos contornem os controles de acesso ao injetar caracteres de alimentação de linha (LF) desprovidos de outros delimitadores (0x0A) em valores de cabeçalho fornecidos pelo cliente, que são copiados literalmente para conexões upstream sem validação. Os atacantes podem criar um valor de cabeçalho contendo uma solicitação HTTP adicional completa que é interpretada como uma solicitação separada por backends como Go net/http e Python http.server, fazendo com que o backend processe uma solicitação smuggled (esmurrugada) com método, caminho e cabeçalhos escolhidos pelo atacante, contornando a lógica de controle de acesso do manipulador rouille.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.